Facebook under beskytning: Mistanke om VPN-datatyveri avslørt

Facebook har kommet i søkelyset for sin påståtte involvering i VPN-datatyveri.

Teknologianalytikeren HaxRob brakte saken frem i lyset gjennom en grundig analyse, mens teknologijournalisten Naomi Brockwell kommenterte saken ytterligere og avslørte et komplekst nett av avlytting og manipulering av brukerdata.

Facebooks påståtte datatyveri via VPN

HaxRobs undersøkelse avslørte at Facebook, ved å utnytte oppkjøpet av Onavo, benyttet seg av metoder som potensielt kunne fange opp og analysere brukerdata som ble overført via andre applikasjoner. Ved å integrere rotsertifikater i brukernes mobile enheter kunne Facebook angivelig overvåke og fange opp trafikk fra et utall apper.

Kontroversen dreier seg om Onavo. Før den ble fjernet fra appbutikkene, tilbød den tilsynelatende VPN-tjenester under dekke av brukersikkerhet. Arkiverte beskrivelser og appens funksjonalitet antyder imidlertid et mørkere formål.

“Denne koden, som inkluderte et “kit” på klientsiden som installerte et “root”-sertifikat på Snapchat-brukernes mobile enheter, inkluderte også tilpasset kode på serversiden basert på “squid”, der Facebooks servere skapte falske digitale sertifikater for å utgi seg for å være pålitelige Snapchat-, YouTube- og Amazon-analyseservere for å omdirigere og dekryptere sikker trafikk fra disse appene for Facebooks strategiske analyse”, heter det i et rettsdokument.

Slike handlinger bryter ikke bare med brukernes tillit, men overskrider også grensene for etisk bruk av teknologi, som HaxRob påpekte: “Appen klarte å opprette forbindelse tilbake til Facebooks servere, til tross for at den presenterte seg som et verktøy for brukersikkerhet.”

Les mer: Hva er det beste VPN-et i 2024?

Naomi Brockwells kommentarer understreker alvoret i situasjonen ytterligere. Hun beskrev Facebooks handlinger som et “man-in-the-middle-angrep”, som gir tilgang til SSL-trafikk og sensitive brukerdata uten samtykke.

“Det ser ut til at Facebook har utført et man-in-the-middle-angrep ved å bruke VPN-tjenesten sin til å stjele data fra andre apper. Dette gjorde det mulig for dem å se all SSL-trafikk ved å opprette et falskt digitalt sertifikat for å utgi seg for å være Snapchat, YouTube, Amazon osv.”, forklarer Brockwell.

Den tekniske dissekeringen av Onavo-appens funksjoner avslører alarmerende tillatelsesforespørsler, inkludert overleggsfunksjoner over andre apper, tilgang til historisk og slettet appbruk og styring av telefonsamtaler. Under påskudd av å øke brukernes sikkerhet, gir disse tillatelsene betydelige advarsler om omfanget av data som Facebook kan få tilgang til og manipulere.

Praksisen med å installere sertifikater for avlytting av apptrafikk, som riktignok har blitt hindret av nylige sikkerhetsforbedringer i Android, viser hvor langt selskaper kan gå for å samle inn brukerdata. Avsløringen av denne praksisen, inkludert den potensielle innsamlingen av mobilabonnenters IMSI-nummer og de omfattende telemetridataene som er samlet inn fra appens 10 millioner nedlastinger, viser hvor viktig det er med et strengt tilsyn.

Denne hendelsen er ikke et enkeltstående tilfelle. Den er et ekko av tidligere bøter, for eksempel boten på 20 millioner dollar som ble ilagt av Australias ACCC, og som understreker den globale bekymringen for Facebooks datahåndteringspraksis.